sdl安全工程师岗位职责

【岗位职责】
1、统筹并参与公司SDL（软件安全开发生命周期）全流程的设计、从0-1落地及日常维护，主导SDL平台搭建（含代码审计、SCA、漏洞扫描等工具的选型与实操），推动安全活动嵌入研发各环节；
2、负责执行产品安全需求分析、安全设计及威胁建模，参与产品设计方案的安全评审，输出可落地的风险改进建议；
3、主导代码审计工作，覆盖主流技术栈（如Go/PHP/Js），识别代码中的安全漏洞并提供具体修复方案，同步梳理审计流程与规范；
4、统筹安全流程与规范的制定、优化，包括但不限于安全开发、测试、验收等环节的标准，推动全员执行；
5、参与DevSecOps体系建设，协助搭建支撑安全流程的工具平台，推动自动化检查机制落地，兼顾执行层的工具配置与日常运维；
6、协助统筹日常安全运营，包括漏洞管理、安全基线检查、应急响应等，同时参与具体安全事件的分析与处置；
7、配合公司信息安全项目推进，参与风险评估与合规性检查，结合业务提出改进方案并跟进执行。

【任职要求】
1、本科及以上学历，计算机、网络安全、信息安全等相关专业，5 年及以上的安全工作经验，具备SDL从0-1实操落地经验；英语CET-4加分
2、熟悉Go/PHP等至少一种开发语言，JAVA也可以考虑，深入理解对应技术栈的安全漏洞原理、利用方式及修复方案，具备代码审计实操经验；
3、有安全流程梳理、规范制定经验，熟悉SDL全流程，能独立设计适配业务的安全活动节点；
4、掌握威胁建模方法与工具，具备安全需求分析、安全设计及评审经验，能从产品全生命周期识别安全风险；
5、熟悉主流代码审计工具、漏洞扫描工具及SCA工具的使用，有安全工具平台搭建或优化经验者优先；
6、了解常见网络攻击原理与防御手段，有应急响应、安全事件处置经验者优先；
7、持有CISP、CISSP等安全认证者优先，具备一定的跨部门沟通与统筹协调能力。

【岗位职责】
1、负责执行产品安全需求分析、安全设计及威胁建模，参与产品设计方案的安全评审，输出可落地的风险改进建议；
2、主导代码审计工作，覆盖主流技术栈（如Go/PHP/Js），识别代码中的安全漏洞并提供具体修复方案，同步梳理审计流程与规范；
3、统筹安全流程与规范的制定、优化，包括但不限于安全开发、测试、验收等环节的标准，推动全员执行；
4、参与DevSecOps体系建设，协助搭建支撑安全流程的工具平台，推动自动化检查机制落地，兼顾执行层的工具配置与日常运维；
5、协助统筹日常安全运营，包括漏洞管理、安全基线检查、应急响应等，同时参与具体安全事件的分析与处置；
6、配合公司信息安全项目推进，参与风险评估与合规性检查，结合业务提出改进方案并跟进执行。

【任职要求】
1、本科及以上学历，计算机、网络安全、信息安全等相关专业，5 年及以上的安全工作经验，具备SDL从0-1实操落地经验；英语CET-4加分
2、熟悉Go/PHP等至少一种开发语言，JAVA也可以考虑，深入理解对应技术栈的安全漏洞原理、利用方式及修复方案，具备代码审计实操经验；
3、有安全流程梳理、规范制定经验，熟悉SDL全流程，能独立设计适配业务的安全活动节点；
4、掌握威胁建模方法与工具，具备安全需求分析、安全设计及评审经验，能从产品全生命周期识别安全风险；
5、熟悉主流代码审计工具、漏洞扫描工具及SCA工具的使用，有安全工具平台搭建或优化经验者优先；
6、了解常见网络攻击原理与防御手段，有应急响应、安全事件处置经验者优先；
7、持有CISP、CISSP等安全认证者优先，具备一定的跨部门沟通与统筹协调能力。

职位概述
负责推进Web3交易所安全开发生命周期（SDL）的全面实施，作为安全业务合作伙伴（BP）深度融入产品、研发与运营团队，保障安全策略与业务发展同步推进。需同时应对传统网络安全威胁（如公网暴露、钓鱼攻击、供应链污染）以及Web3领域特有风险（如智能合约缺陷、跨链交互隐患、私钥安全管理）。

核心职责
1、SDL流程构建与持续优化
制定并落地覆盖软件全周期的安全开发标准，涵盖安全需求定义、威胁建模分析、代码审查、渗透测试及发布前安全评估等环节。
将自动化安全工具（SAST/DAST/IAST/SCA）嵌入CI/CD流水线，提高漏洞发现与修复的自动化水平。
建立可量化的安全指标体系（如漏洞闭环率、扫描覆盖度），定期输出安全健康状态报告。

2、安全BP职能与协同推进
作为安全对接负责人，深入参与核心业务单元（如交易系统、钱包服务、跨链桥模块），提供安全架构设计、风险评估及突发事件响应支持。
推动业务团队执行安全规范，包括第三方组件管控、云环境配置合规性、用户隐私数据保护等措施。
策划并开展安全培训课程与实战攻防演练，增强研发人员的安全认知与应急处置能力。

3、重点领域安全治理
围绕智能合约、跨链通道、数字钱包等关键系统，构建审计机制与实时监控能力，防范重入攻击、价格操控等典型风险。
主导公网暴露面收敛工作（如域名劫持防护、API接口越权访问整治），建设反钓鱼防御体系（如部署DMARC/SPF策略、品牌侵权监测）。
推动安全架构升级，完善密钥管理体系、权限控制机制与身份认证流程。

任职要求
必备条件
3年以上应用安全或安全开发经验，其中至少2年专注于Web3/区块链相关项目。
熟练掌握SDL实施方法论，具备威胁建模、源码审计、渗透测试的实际操作能力。
具备优秀的跨部门沟通协调能力，能有效推动安全要求在高优先级业务场景中的落地执行。

优先考虑
拥有金融系统、交易平台或DeFi生态安全体系建设经验者优先。
熟悉Web3技术生态（如Solidity、Rust、Web3.js），了解常见攻击手段（如闪电贷、跨链桥欺诈）及其防御机制。
持有CISSP、CISM、OSCP等专业安全资质认证。
了解主流合规框架（如ISO27001、NIST）及安全工具链（如SAST、SCA）的应用实践
【工作内容】1、SDL流程构建与持续优化：制定并落地覆盖软件全周期的安全开发标准，涵盖安全需求定义、威胁建模分析、代码审查、渗透测试及发布前安全评估等环节。将自动化安全工具（SAST/DAST/IAST/SCA）嵌入CI/CD流水线，提高漏洞发现与修复的自动化水平。建立可量化的安全指标体系（如漏洞闭环率、扫描覆盖度），定期输出安全健康状态报告。2、安全BP职能与协同推进：作为安全对接负责人，深入参与核心业务单元（如交易系统、钱包服务、跨链桥模块），提供安全架构设计、风险评估及突发事件响应支持。推动业务团队执行安全规范，包括第三方组件管控、云环境配置合规性、用户隐私数据保护等措施。策划并开展安全培训课程与实战攻防演练，增强研发人员的安全认知与应急处置能力。3、重点领域安全治理：围绕智能合约、跨链通道、数字钱包等关键系统，构建审计机制与实时监控能力，防范重入攻击、价格操控等典型风险。主导公网暴露面收敛工作（如域名劫持防护、API接口越权访问整治），建设反钓鱼防御体系（如部署DMARC/SPF策略、品牌侵权监测）。推动安全架构升级，完善密钥管理体系、权限控制机制与身份认证流程。
【基本条件】必备条件：3年以上应用安全或安全开发经验，其中至少2年专注于Web3/区块链相关项目。熟练掌握SDL实施方法论，具备威胁建模、源码审计、渗透测试的实际操作能力。具备优秀的跨部门沟通协调能力，能有效推动安全要求在高优先级业务场景中的落地执行。优先考虑：拥有金融系统、交易平台或DeFi生态安全体系建设经验者优先。熟悉Web3技术生态（如Solidity、Rust、Web3.js），了解常见攻击手段（如闪电贷、跨链桥欺诈）及其防御机制。持有CISSP、CISM、OSCP等专业安全资质认证。了解主流合规框架（如ISO27001、NIST）及安全工具链（如SAST、SCA）的应用实践